ביקורת האבטחה האחרונה של 7ASecurity על הקוד של Psiphon מוצאת “אין ליקויי אבטחה משמעותיים”
2.11.2021 - 1 דק' קריאה
כחלק ממחויבותנו המתמשכת לעמידה בסטנדרטים הגבוהים ביותר של שקיפות ואבטחה, Psiphon הזמינה את 7ASecurity לבצע סקירת אבטחה של בסיס הקוד שלה בנוגע לארבעה שיפורים חדשים ב-Psiphon. הדוח שהתקבל הוא ציבורי וניתן למצוא אותו בכתובת: https://7asecurity.com/reports/pentest-report_psiphon-e.pdf.
באמצעות גישת "קופסה לבנה", כלומר קוד המקור המלא היה זמין, צוות האבטחה פעל כדי לקבוע את מידת ההקפדה של Psiphon על שיטות העבודה המומלצות לכתיבת קוד מאובטח, ולספק המלצות הגנה, לפי הצורך, בהתבסס על ממצאיהם. צוות האבטחה השתמש במגוון כלים ושיטות כנגד כל קוד המקור וספריות צד שלישי של Psiphon. כמו כן, נותחה תעבורת הרשת כדי לזהות וקטורי תקיפה פוטנציאליים, יצירת טביעת אצבע ואת התנהגותה של Psiphon תחת מתקפה.
מסקנות הצוות היו ש:
“פלטפורמת Psiphon נמצאה עמידה בפני קשת רחבה של וקטורי תקיפה והותירה רושם איתן וכולל.
הדבר משקף היטב את הצוות שמאחורי הפתרון. 7ASecurity זיהתה רק פגיעות אבטחה 1 בחומרה נמוכה. לפיכך, לא ניתן היה לזהות פגמי אבטחה משמעותיים במהלך משימה זו. 4 הממצאים הנותרים סווגו כחולשות שונות ולכן, אינם נחשבים לפגיעויות.”
בסיס הקוד של Psiphon הוא קוד פתוח, וניתן לגשת אליו ב-GitHub. ביקורות אבטחה קודמות של הקוד של Psiphon ניתן למצוא דרך האתר שלנו ובבלוג של Psiphon.
אנו מודים לצוות 7ASecurity על מאמציו ושמחים שמהנדסי התוכנה וקוד המקור של Psiphon ממשיכים לזכות להערכה רבה כל כך.